JP2000357216A - Ｉｃカード - Google Patents

Abstract

(57)【要約】 【課題】ＩＣカード内のＥＥＰＲＯＭ等の不揮発性メモ
リのデータ更新失敗によるデータ消失による被害をなく
し、かつ単純で高速にデータ更新処理を行うＩＣカード
を提供することを課題とする。 【解決手段】上記課題を解決するために、対象データの
記憶領域を２重化し、データ書き込みの際に、この二つ
の記憶領域を交互に更新することにより、最新データに
加えて、一つ前の世代のデータがバックアップデータと
して常に記憶領域に残るように書き込み制御を行う。更
新の際は、最新のデータを残して、バックアップデータ
の領域に更新データを書き込んでこれを最新のデータと
し、これまでの最新データをバックアップデータとす
る。またデータのバージョンを表す更新番号をデータと
ともに書き込むことで、どちらが最新のデータか識別可
能とする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ＥＥＰＲＯＭ（El
ectrically Erasable and Programable Read Only Memo
ry）等の不揮発性メモリを有する携帯可能な情報記録媒
体、いわゆるＩＣカードについて、特に書き込み失敗時
にデータを完全に消失することを回避する制御を備えた
ＩＣカードに関する。

【０００２】

【従来技術】ＩＣカードは、磁気カードに代わる携帯可
能情報記録媒体として近年利用が広がっている。特に、
ＣＰＵを内蔵したＩＣカードは、単なる情報記録媒体と
しての機能だけではなく、情報処理機能を組み込むこと
ができるため、電子現金システムなど、高度なセキュリ
ティを必要とする情報処理システムへの利用が期待され
ている。このようなＩＣカードでは、データ保存用のメ
モリとして一般にＥＥＰＲＯＭが使用されている。ＥＥ
ＰＲＯＭは電気的に記憶情報の消去が可能な不揮発性メ
モリであり、反復書換が可能であるというＩＣカードに
適した特性を有している。

【０００３】ＩＣカード内のＥＥＰＲＯＭのデータを更
新する際、当該データが現在記憶されているメモリ領域
と同じ場所に上書きを行うことによって書き込み動作が
成される。すなわち、古いデータを一旦消去した後に、
同じ場所に新しいデータを書き込む。この時、ＩＣカー
ドへ供給される電源の一時的な停止（瞬断）や人による
不正なＩＣカードの引き抜きが起きると、更新対象メモ
リ領域のデータが異常な値になり、新しいデータが記憶
されないばかりか、古いデータも失われる。

【０００４】これを回避するために、データ更新の際、
以前のデータ内容を一旦バックアップ領域に退避させ、
新しいデータ内容を正常に書き込んだ後で、バックアッ
プデータを消去するという方式の携帯可能情報機録媒体
も提案されている（特開平９−１７９７８７号）。

【０００５】

【発明が解決しようとする課題】図２は従来技術の通常
の書き込み動作を概念的に説明する図である。図２で□
の列はアドレスの順に並んだデータ保存用のメモリ領域
を表している。図２（Ａ）で■の部分は更新対象データ
を意味するものとする。今、その更新対象データの内容
を◆に変えたとすると、図２（Ｂ）のように同じメモリ
番地に上書きするだけである。さらにその更新対象デー
タを★に変えようとして、書き込み動作を行っている間
に、カードの引き抜きなどの誤操作により再実行不可能
な書き込みエラーが発生すると図２（Ｃ）のように更新
前の更新対象データが失われてしまうため、復旧が全く
不可能となる。

【０００６】特開平９−１７９７８７号では、これを避
けるために、データを書き込む前に当該データを一旦バ
ックアップ領域にコピーし、その後でデータの更新を行
うようにデータの書き込みを制御する携帯可能情報機録
媒体が考案されているが、この方法では、２回のデータ
書き込みを実行しなければならず、データ更新の際のオ
ーバーヘッドが大きいことが難点である。

【０００７】そこで、本発明は、ＩＣカード内のＥＥＰ
ＲＯＭ等の不揮発性メモリのデータ更新失敗によるデー
タ消失による被害をなくし、かつ単純で高速にデータ更
新処理を行うＩＣカードを提供することを課題とする。

【０００８】

【課題を解決するための手段】上記課題を解決するため
に、対象データの記憶領域を２重化し、データ書き込み
の際に、この二つの記憶領域を交互に更新することによ
り、最新データに加えて、一つ前の世代のデータがバッ
クアップデータとして常に記憶領域に残るように書き込
み制御を行う。更新の際は、最新のデータを残して、バ
ックアップデータの領域に更新データを書き込んでこれ
を最新のデータとし、これまでの最新データをバックア
ップデータとする。

【０００９】図３は、このようにＩＣカードへの書き込
みを制御することによる、データ書き込み中に異常が起
きた場合の効果を示している。記憶領域の内容は当初
（Ａ）である。次に（Ｂ）でバックアップデータ部分に
最新データを上書きする。その後（Ｃ）で更に最新デー
タを上書きする時に、引き抜き等による書き込みエラー
が生じても、（Ｂ）時点の最新データは残っているので
最悪でも、利用者が再入力を行うことで再実行できる。
また、バックアップ領域ははじめから用意されているの
で、データ更新の際１回の書き込みで済み、余計なオー
バーヘッドが不要である。これが記憶領域を２重化し交
互に書き込みを行うことによる効果である。

【００１０】さらに本発明では、最新データとバックア
ップデータの区別のため、データが更新される毎に番号
が増加する更新番号をデータとともに記憶領域に書き込
むようにする。データを読み出すときは２つのデータ領
域の更新番号を比較することにより大きい更新番号のつ
いた記憶領域のデータを読み出す。データを書き込むと
きは逆に小さい更新番号のついた記憶領域へ最新データ
を書き込む。

【００１１】図４はこのデータ領域の更新番号について
その働きを概念的に説明する図である。図４では１つの
データ項目についての２つのデータ領域ａとｂの内容の
変化を左端の列の更新番号の遷移に従って示している。
更新番号は１から始まり新たに書き込みがされるたびに
１つ増加させるが、実際には３で割った余りを使用して
いる。従って２の次は０にもどり以後０→１→２→０と
繰り返す。新たに書き込むデータはそのデータ項目に決
められた２つの格納領域の更新番号部分（データ格納領
域の先頭番地というように決めておく）を比較して数字
の小さい方（古いデータが記憶してある方）に、新たに
インクリメントした更新番号とともに最新のデータを書
き込む。図４で最上行（更新番号：１）の時点で新たな
書き込み動作を行うとき、領域ａと領域ｂに記録された
更新番号はそれぞれ０と１であるから領域ａに新しいデ
ータを新しい更新番号：２とともに上書きする。領域ｂ
はそのままとし、バックアップデータとなる。なお更新
番号は３で割った余りなので２と０を比較する時は２は
０より小さい（古い）と解釈する。このような読み込み
書き込み制御方式を採用することにより読み込み書き込
みが正しく行われる。

【００１２】

【発明の実施の形態】以下に本発明に係る実施形態につ
いて詳しく説明する。図１は、本実施形態に係るＩＣカ
ード１０がリーダー・ライター装置２０に接続されてい
る様子を示すブロック図である。ＩＣカード１０には、
Ｉ／Ｏインターフェイス１１、ＣＰＵ１２、ＲＯＭ１
３、ＲＡＭ１４、ＥＥＰＲＯＭ１５が内蔵されている。
Ｉ／Ｏインターフェイス１１は、Ｉ／Ｏライン３０を介
してデータを送受するための入出力回路であり、ＣＰＵ
１２はこのＩ／Ｏインターフェイス１１を通して、リー
ダ・ライタ装置２０とデータのやりとりを行う。ＲＯＭ
１３内には、ＣＰＵ１２によって実行されるべきプログ
ラムが記憶されており、ＣＰＵ１２はこのプログラムに
基づいてＩＣカード１０を統括制御する。ＲＡＭ１４は
一時的な作業用領域であり、ＥＥＰＲＯＭの内容をこの
作業領域に読み出す。ＣＰＵはこの作業領域に対してデ
ータ参照やデータ書き込みを行う。ＥＥＰＲＯＭ１５
は、このＩＣカード１０に記録すべき本来のデータが格
納されるメモリである。

【００１３】ＩＣカード１０内のメモリ１３、１４、１
５へのアクセスは、すべてＣＰＵ１２を介して行われ、
外部からこれらのメモリを直接アクセスすることはでき
ない。そのかわりに、リーダ・ライタ装置２０からＩＣ
カード１０に対してあらかじめ決められたフォーマット
の「コマンド」を与えると、ＣＰＵ１２がこの「コマン
ド」を解釈実行することでＩＣカード１０内のデータメ
モリ１５にアクセスする。その結果をリーダ・ライタ装
置２０に対して「レスポンス」として返送する。

【００１４】以下２つの実施例を上げて説明する。 第
１の実施例は、ＩＣカードの全データを２重化すると従
来の倍のメモリが必要となるので、データの消失を絶対
避けなければならない重要なデータだけを２重化したＩ
Ｃカードである。図９はこのＩＣカードのメモリマップ
の例であるが、４つのデータ項目のうち、データ項目１
とデータ項目２についてだけａとｂの二つの領域を設
け、データ領域を２重化している。各データ項目のアド
レスは固定である。更新番号はデータ項目１とデータ項
目２で別々に独立に管理される。この実施例のＩＣカー
ドの書き込み、読み出し動作のフローを図５に示す。尚
実際には、リーダ・ライタ装置２０からＩＣカード１０
に対して与えられた「コマンド」をＣＰＵ１２が解釈し
た結果として、書き込みまたは読み出しの動作が行われ
る。

【００１５】図５の（Ａ）は、書き込み動作のフローで
ある。外部から与えられた「コマンド」をＣＰＵ１２が
解釈した結果、「コマンド」に含めて渡されたあるデー
タ項目の内容を更新しなければならないことがわかる
と、先ずステップＳ１０で２重化するデータ項目かどう
かをチェックして、そうでなければステップＳ１８にて
当該データ領域に対して通常の上書きを行う。当該デー
タ項目が２重化データであれば、ステップＳ１２にて、
そのデータ項目に対応する領域ａと領域ｂの更新番号を
読み出し比較する。次にステップＳ１４にて、比較した
二つの更新番号のうち、大きい方の番号に１を加えたも
のを３で割った余りを新しい更新番号とする。ステップ
Ｓ１６にて、小さい更新番号が書き込まれていた方の領
域に新しい更新番号とともにデータ内容を上書きする。
次にステップＳ１７にて、書き込まれたデータを読み出
し、書き込んだデータと一致しているかのベリファイチ
ェックを行う。ベリファイチェックの結果、正常なら
「正常にコマンドが実行された」旨の「レスポンス」を
リーダ・ライタ装置２０を介してパソコンや店頭端末な
どの外部システムに返す。ベリファイチェックの結果一
致していない部分があればがあれば、「コマンド実行が
正常に行われなかった（書き込みエラー）」の「レスポ
ンス」を外部システムに返す（Ｓ１９）。

【００１６】データを２重化しておくことの効果は次の
ようなことである。もし、ＩＣカード側から「コマンド
実行が正常に行われなかった（書き込みエラー）」の
「レスポンス」が返ってきた場合、外部システムはどん
な場合でも、コマンドの再実行を行うことができる。本
発明によるＩＣカードでは前回のデータは必ず残されて
おり、ＩＣカード側では書き込み失敗されたデータ領域
は、エラーチェックコードからか、または更新番号が
０、１、２以外の値であることから検知できるので、再
実行が可能である。

【００１７】また、もしＥＥＰＲＯＭ領域へのデータ書
き込み動作中に、リーダ・ライタ装置２０からＩＣカー
ドに供給される電源が瞬断した場合、ＩＣカードは外部
システムが期待していたレスポンスの代わりに、「カー
ドがリセットされました」のレスポンスを返す。この場
合でも、本発明によるＩＣカードでは前回のデータは必
ず残されており、ＩＣカード側では書き込み失敗された
データ領域は、エラーチェックコードからか、または更
新番号が０、１、２以外の値であることから検知できる
ので、外部システムは単純に直前のコマンドを再送し
て、ＩＣカードに再実行を命令すればよい。

【００１８】また、もしＥＥＰＲＯＭ領域へのデータ書
き込み動作中にＩＣカードが抜き取られてしまった場合
は、破壊されたデータ領域が残ったままになっているの
で、次回使用時に、前回そのような不正な使用が行われ
たことが検知できる。この場合でも当該部分のデータ項
目のバックアップデータが残っているので、何らかの修
復操作が可能である。

【００１９】図５の（Ｂ）は、読み出し動作のフローで
ある。何のデータ項目を読み込むのかは「コマンド」と
して外部から指示される。ＣＰＵ１２がこの「コマン
ド」を解釈して、何かのデータ項目を読み出さなければ
ならないことがわかると、先ずステップＳ２０で当該デ
ータ項目が２重化すべき項目かどうかをチェックして、
そうでなければステップＳ２８にてデータ項目の当該ア
ドレスから通常の読み込みを行う。２重化データであれ
ば、ステップＳ２２にて、そのデータ項目に対応する領
域ａと領域ｂの更新番号を読み出し比較する。次にステ
ップＳ２４にて、大きい方の領域の内容を、更新番号を
取り除いて、そのデータ項目の内容として読み出す。そ
の結果は「レスポンス」としてリーダ・ライタ装置２０
に送られる。

【００２０】以上説明したＩＣカード内のメモリにアク
セスする処理は、ＲＯＭ１３にプログラムされている。
従来のＩＣカードのメモリへの書き込み、メモリからの
読み出し処理ルーチンを図５で示した動作フロー内容に
改めれば、この実施例のＩＣカードが実現できる。

【００２１】第２の実施例は、データ記憶部であるＥＥ
ＰＲＯＭ１５によるメモリの使用状態を管理するメモリ
管理領域を設け、これを２重化したＩＣカードである。
メモリ管理領域は特定のデータ項目がどの番地に記憶さ
れているかその先頭番地とその使用メモリサイズを対に
して管理している。またメモリ空間上に存在する未使用
領域をその先頭番地と未使用領域のサイズを対にして管
理している。図６により、このメモリ管理領域を２重化
したＩＣカードのメモリの動作を説明する。図６の横長
の帯はＩＣカードのデータ記憶部であるＥＥＰＲＯＭ１
５のメモリマップである。また、図７はこのメモリ管理
領域の内容を示している。図８は実施例２の読み書き動
作フローを示すフローチャートである。

【００２２】図６、図７および図８によりこの実施例の
動作を説明する。図６（Ａ）は最初の状態である。デー
タ１が０番地からデータ２が３００番地から記録されて
いる。メモリマップのハッチング部分は未使用領域を示
している。図（Ａ）のメモリ使用状態はメモリ管理領域
（管理ａ）に記録されている。その内容は図７（Ａ）の
ようになっている。管理ａにある、データ１（０、２０
０）はデータ１の内容が０番地から長さ２００バイト占
めていることを示す。未使用領域も二つ有り同様に記録
されている。

【００２３】データ１の書き込み（更新）要求が起きた
とすると、ＩＣカードシステムはまず管理領域ａとｂを
読み込み（図８の（Ａ） Ｓ５０）、管理番号を比較し
どちらが最新の内容か判断する（Ｓ５２）。既存のデー
タ１はそのまま残して、管理データから未使用領域の適
当な部分を選択して、そこにデータ１の更新データを書
き込む。（Ｓ５４）。図６（Ｂ）はデータ１の更新デー
タが書き込まれた状態を示している。

【００２４】もしデータ１の更新データを書き込み中に
電源瞬断等によるエラーが起きた場合、外部システムは
予期せぬ「ＩＣカードがリセットされました」と言う内
容のレスポンスを受け取ることになるが、その場合は単
純に未了のコマンドをＩＣカード側に再送すればよい
（ＩＣカード側は前回コマンドを単純に再実行する）。
メモリ管理領域ａの管理データはそのまま残っているの
と、それまでのデータ１のデータは残っている、またデ
ータ１の更新データはまだメモリ管理領域に記録されて
いないので、書き込み前の状態、同図（Ａ）に完全に復
帰でき、問題はない。

【００２５】また、もしデータ１の更新データを書き込
み中に不正なカードの抜き取りを行った場合は、メモリ
管理領域ａの管理データはそのまま残っているのと、そ
れまでのデータ１のデータは残っているので、直前のコ
マンドを実行する前の状態のままである。カードには何
か不正なことが起こったという情報も何も残らないが、
少なくとも不正な抜き取りをする直前のデータ内容は保
持される。

【００２６】データ１の更新データが正常に書き込まれ
ると、メモリ管理データの更新をする。それまでデータ
１が記録された領域を未使用領域とし、新たに４００番
地ではじまる長さ２００バイトの領域をデータ１の領域
とする（Ｓ５６）。このメモリ使用状態を記録したデー
タを、新しい更新番号とともに今度は更新番号の小さい
ほうの管理領域（図６では管理ｂ）に記録する（Ｓ５
８）。データ１内容と新しい管理データ内容のベリファ
イチェックを行い（Ｓ５７）、外部システムにレスポン
スを返す（Ｓ５９）。

【００２７】ベリファイチェックの結果ＥＥＰＲＯＭメ
モリ領域への書き込みが正常にできなかった場合は、実
施例１と同様、「その旨のレスポンス」を外部システム
に返すことになる。また、ステップＳ５８の管理データ
更新中に電源瞬断等によるエラーが起きた場合、外部シ
ステムは予期せぬ「ＩＣカードがリセットされました」
と言う内容のレスポンスを受け取ることになる。これら
のいずれの場合も、外部システムは、単純に未了のコマ
ンドをＩＣカード側に再送すればよい（ＩＣカード側は
前回コマンドを単純に再実行する）。メモリ管理領域ａ
はそのまま保持されているので、データ１を更新する前
の（Ａ）の状態からやり直しを行えばよい。

【００２８】またもし、ステップＳ５８の管理データ更
新中に不正なカードの抜き取りを行った場合は、メモリ
管理領域ｂの管理データは破壊された状態（ＣＲＣコー
ド異常または更新番号異常）となっているので、後にＩ
Ｃカードを使用するときに何か異常なことが行われたこ
とが分かる。この場合はバックアップデータにより、図
６（Ａ）の状態はそのまま残っているので、少なくとも
不正な抜き取りをする直前のデータ内容は保持される。

【００２９】実施例２における、ＥＥＰＲＯＭ１５のデ
ータ内容の読み出し動作は図８（Ｂ）のフローに示す。
書き込み動作と同様に、まず管理領域ａとｂの内容を読
み込み（Ｓ６０）、更新番号を比較してどちらが最新か
決めておいて（Ｓ６２）、新しいほうの管理データ内容
から、当該データ項目の記録場所を得て（Ｓ６４）、デ
ータ項目を読み出す。その結果は「レスポンス」として
リーダ・ライタ装置２０に送られる（Ｓ６９）。

【００３０】実施例２の方式は、実施例１に比べると、
メモリ管理データの更新が必要な分手間が増えて面倒で
あるが、二つのメモリ管理領域と更新時に必要なデータ
長の分だけのメモリ量が余分にかかるだけなのでメモリ
の節約になる方式である。尚メモリ管理データの新旧を
区別するためメモリ管理領域には更新番号も含めて記録
する。実際のデータには更新番号を付ける必要はない。
従来のＩＣカードのメモリへの書き込み、メモリからの
読み出し処理ルーチンを図８で示した動作フローを実行
するよう改めれば、この実施例のＩＣカードが実現でき
る。

【００３１】以上本発明の実施例を２例述べたが、発明
の要旨を逸脱しない範囲に置いて、これら以外の実施形
態も可能であることはいうまでもない。例えば、実施例
１における処理をＥＥＰＲＯＭメモリ領域を２重化し、
必要な論理制御回路を付加することにより、ＩＣカード
内のプログラム処理ではなくハードウエアで行っても良
い。

【発明の効果】以上詳細に説明したように、本発明によ
るデータ書き込み方式によればバックアップデータが常
に残されるので、ＩＣカードのデータ記憶領域のデータ
更新が正常に行われなかった場合でも、直前のデータは
決して失われない。またバックアップ用のデータ領域は
最初から用意されているので、データをバックアップ領
域に移してからデータ書き込みを行う方式と比べると、
データの更新に要する時間も最小限である。

【図面の簡単な説明】

【図１】本発明に係るＩＣカードがリーダ・ライタ装置
に接続されている様子を示すブロック図である。

【図２】従来の書き込み動作と書き込み時のエラーを概
念的に説明する図である。

【図３】本発明の２重化による効果を概念的に説明する
図である。

【図４】更新番号の遷移とその働きを説明する図であ
る。

【図５】第１の実施例のＩＣカードの読み書き動作のフ
ローを示すチャートである。

【図６】第２の実施例のＩＣカードのメモリマップであ
る。

【図７】第２の実施例のＩＣカードのメモリ管理データ
内容である。

【図８】第２の実施例のＩＣカードの読み書き動作のフ
ローを示すチャートである。

【図９】第１の実施例のＩＣカードのメモリマップであ
る。

【符号の説明】

１０ ＩＣカード １１ Ｉ／０インターフェイス １２ ＣＰＵ １３ ＲＯＭ １４ ＲＡＭ １５ ＥＥＰＲＯＭ ２０ リーダ・ライタ装置 ３０ ＩＯライン

Claims (2)

【特許請求の範囲】
1. 【請求項１】 不揮発性のデータ記憶部と前記記憶部に
   対して情報の書き込み又は読み出しを行う制御部とを有
   し、定められたプロトコルにより外部接続装置との間で
   情報の授受を行うＩＣカードであって、前記データ記憶
   部に各データ項目の記憶領域を二つずつ用意し、データ
   を書き込むときに、この二つの記憶領域を交互に更新す
   ることで、常にバックアップデータを残すことにより、
   書き込み失敗時のデータの完全消失を防ぐことを特徴と
   したＩＣカード。
2. 【請求項２】 書き込むデータに、更新されるたびに番
   号が増加する更新番号を付加して、この更新番号をデー
   タとともに前記記憶部の当該データ項目の前記二つの記
   憶領域のいずれかに書き込みことにより、当該データ項
   目の前記二つの記憶領域に記録された前記更新番号の大
   小を比較して、後のデータ書き込み時には、小さい更新
   番号が記録されていた方の領域に新たな更新番号ととも
   にデータを書き込み、データ読み出し時には、大きい更
   新番号が記録されていた方の領域のデータを読み出すよ
   うに動作する制御部を有する請求項１に記載のＩＣカー
   ド。